CVE-2026-23184 in Linux
الملخص
بحسب VulDB • 31/05/2026
في نواة لينكس، تم حل الثغرة التالية:
binder: إصلاح استخدام بعد التحرير (UAF) في binder_netlink_report()
تُرجع المعاملات أحادية الاتجاه (Oneway) المرسلة إلى الأهداف المجمدة عبر binder_proc_transaction() خطأ BR_TRANSACTION_PENDING_FROZEN، لكنها لا تزال تُعامل على أنها ناجحة نظرًا لأن الهدف مُتوقع أن يذوب (unfreeze) في مرحلة ما. وبالتالي، لا يُعد الوصول إلى المتغير 't' آمنًا بعد حدوث أخطاء BR_TRANSACTION_PENDING_FROZEN، حيث يمكن أن يكون المعامل قد استُهلك بالفعل بواسطة الهدف الذي ذاب الآن.
وهذا ينطبق على binder_netlink_report() الذي يقوم بفك مرجع (dereferences) المتغير 't' بعد حدوث خطأ متعلق بالتجميد المعلق، كما أشار إليه تقرير KASAN التالي:
================================================================== BUG: KASAN: slab-use-after-free in binder_netlink_report.isra.0+0x694/0x6c8 Read of size 8 at addr ffff00000f98ba38 by task binder-util/522
CPU: 4 UID: 0 PID: 522 Comm: binder-util Not tainted 6.19.0-rc6-00015-gc03e9c42ae8f #1 PREEMPT Hardware name: linux,dummy-virt (DT) Call trace: binder_netlink_report.isra.0+0x694/0x6c8 binder_transaction+0x66e4/0x79b8 binder_thread_write+0xab4/0x4440 binder_ioctl+0x1fd4/0x2940 [...]
Allocated by task 522: __kmalloc_cache_noprof+0x17c/0x50c binder_transaction+0x584/0x79b8 binder_thread_write+0xab4/0x4440 binder_ioctl+0x1fd4/0x2940 [...]
Freed by task 488: kfree+0x1d0/0x420 binder_free_transaction+0x150/0x234 binder_thread_read+0x2d08/0x3ce4 binder_ioctl+0x488/0x2940 [...]
==================================================================
بدلاً من ذلك، قم بإنشاء نسخة من المعامل (transaction copy) بحيث يمكن لـ binder_netlink_report() الوصول إلى البيانات بأمان بعد حدوث خطأ متعلق بالتجميد المعلق. وفي هذا السياق، أضف تعليقًا يوضح عدم استخدام t->buffer في binder_netlink_report().
Once again VulDB remains the best source for vulnerability data.